באג המעבדים הגדול: הנה כל מה שאתם צריכים לדעת על הבאג שישפיע על המחשבים והטלפונים שלכם

אתמול נחשף אחד הבאגים החמורים ביותר בשנים האחרונות, שמשפיע על כמעט כל המחשבים מהעשור האחרון ויוצר פרצת אבטחה חמורה; מצד שני, התיקון של הפרצה יסתיים בהאטה ניכרת של המחשב. נשמע מורכב? תנו לנו לעשות לכם סדר

מקור: גיקטיים

אמש (שעון ישראל) החלו להגיע ידיעות על באג חמור שהתגלה בכל המעבדים שייצרה אינטל בעשור האחרון, באג שחושף פרצת אבטחה חמורה בקרנל, או הליבה של מערכת ההפעלה. הידיעה שדלפה מוקדם מהצפוי תפסה את רוב ענקיות הטכנולוגיה בתרדמת השנה החדשה, ונראה שלקח להן לא מעט זמן להתעשת. במהלך הלילה החלו להופיע התגובות הרשמיות של אינטל, AMD וגוגל שחושפות עוד אור על אחד מהבאגים החמורים ביותר של השנים האחרונות.

על מה הבלאגן?

בחודשים האחרונים גילתה קבוצת חוקרים מ-Project Zero, צוות האבטחה המיוחד של גוגל, ביחד עם צוות חוקרים מכמה אוניברסיטאות אמריקאיות בעיה חמורה בטכנולוגיה שנקראית Speculative execution ומיושמת בכל המעבדים המרכזיים (CPU) במחשבים ובמכשירים אחרים.

מה זה Speculative execution?

כדי לחסוך בזמן וכדי לספק למשתמש ביצועים טובים יותר, המעבדים מנסים לחזות אילו חישובים הם יתבקשו לעשות בהמשך על ידי האפליקציות ומבצעים אותם מראש. נכון, חלק מהחישובים מיותרים והמעבד יתעלם מהם ומההשפעות שלהם בהמשך, אבל שאר החישובים שהוא ביצע מראש, ובאמת היו חיוניים, ייעשו מראש ובמקביל לחישובים קודמים. התוצאה: זמן ההמתנה שלנו למשימות שונות יתקצר.

נשמע מגניב. מה הבעיה?

הבאג שהתגלה חושף פגם בתכנון של המעבדים כיום ובדרך שהם משתמשים ב-Speculative execution.

זוכרים את החישובים ‘המיותרים’? מסתבר שכתוצאה מה’פגם’ הזה, המעבדים לא בודקים היטב את הרשאות השימוש וחושפים לכל אחד למעשה את כל המידע והנתונים שקשורים בחישובים הללו.

כתוצאה מכך, כל תוכנה, אפליקציה – אפילו קוד JavaScript בדפדפן – יכול לגשת לאזורים המוגנים לכאורה של זיכרון ה-Kernel או ליבת מערכת ההפעלה. אלו הם החלקים שמקשרים בין התוכנה לחומרה של המשתמש כמו הדיסק והזיכרון ואמורים להיות מוגנים כל הזמן.

מה הסכנה?

תוקף שמנצל את הפרצה הזו יכול תיאורטית להגיע לכל הסיסמאות וכל הקבצים שמאוחסנים על המחשבים שלנו. וזה רע. רע מאוד.

וכבר ניצלו את הפרצה הזו?

חוקרים במכון הטכנולוגי של גרץ שבאוסטריה חשפו 3 שיטות התקפה שמאפשרות שימוש בבאג הזה; הראשונה מכונה Meltdown והשנייה והשלישית, שהן קרובות משפחה, זכו לשם המשותף Spectre.

Meltdown – הטכניקה הזו מנטרלת את ההפרדה הבסיסית בין אפליקציות של המשתמש ובין מערכת ההפעלה. הטכניקה מאפשרת לנוזקות להגיע לחלקים שהן לא אמורות להגיע עם ההרשאות שלהן כמו לחלקים המוגנים בזיכרון ולגנוב משם מידע. פרצת האבטחה הזו (CVE-2017-5754) מוגבלת רק למעבדים של אינטל.

Spectre – טכניקת תקיפה זו מאפשרת לתוכנות שונות לגנוב מידע מהזיכרון שנמצא בשימוש של תוכנות אחרות. כלומר, אם תוכנה מאושרת ולגיטימית עושה שימוש בסיסמאות או מידע רגיש שלכם, נוזקה, שעושה שימוש בפרצת האבטחה שיצר הבאג, יכולה לקבל גישה לזיכרון ולהיחשף לכל המידע הרגיש. 2 פרצות האבטחה האלו (CVE-2017-5753 ו-CVE-2017-5715) עלולות לפגוע גם במעבדים של AMD ו-ARM.

עם זאת, חשוב להדגיש, כי לא נרשם שימוש לרעה עדיין בפרצת האבטחה הזו. זה לא אומר שלא נעשה שימוש כזה – אבל לפחות על פי הידוע לכל חברות הטכנולוגיה כיום – לא זוהה עדיין שימוש לרעה.

מי הושפע מהבאג הזה? מה החברות עושות בעניין?

זה באג חומרה ברמת המעבד ולכן כמעט כל מערכות ההפעלה, המחשבים והמכשירים שמוכרים לנו חשופים לו: החל מ-Windows, דרך macOS, וכן, גם בלינוקס זה קורה. בנוסף, מכיוון שגם מעבדים מבוססי ARM חשופים לבאג, גם הסמארטפונים עלולים להיפגע.

עם זאת, עם כל הכבוד ללפטופים או למחשבים שלנו, יש בעיה חמורה נוספת. מכיוון שהמעבדים של אינטל נמצאים גם בכל השרתים הארגוניים ושירותי הענן השונים, גם שירותי הענן המובילים – החל מה-AWS של אמזון ועד ה-Azure של מיקרוסופט – יושפעו. מחר (ו’), למשל, צפויה אמזון ‘לבצע עבודות תחזוקה’ יסודיות, בגלל הבאג, אולם על פי ההודעה שלה רוב השירותים כבר מוגנים והמיעוט שעוד לא – יזכו לעדכון בשעות הקרובות. על פי ההודעה שלה, מיקרוסופט כבר שחררה עדכון אבטחה למשתמשי Windows והחלה ביישום עדכון אבטחה לשירותי הענן שלה.

בכל הקשור למובייל, לא ברור האם ומתי יגיעו עדכוני אבטחה. היצרניות עוד לא הוציאו הודעה מסודרת, אבל ככל הנראה משתמשי אפל ייהנו מפתרון בעדכון הבא. עם זאת, החברה עוד לא הוציאה הודעה רשמית. משתמשי האנדרואיד יהיו ככל הנראה בבעיה, משום שרוב היצרניות איטיות מאוד בכל הנוגע לעדכונים בכלל ועדכוני אבטחה בפרט, ולא ברור האם יצרניות כמו סמסונג, LG, וואווי ואחרות יטרחו בכלל להוציא עדכון אבטחה שכזה. מכשירים חדשים יחסית צפויים לקבל בקרוב את עדכון האבטחה של ינואר שכולל את התיקון לבאג.

משתמשי אנדרואיד נקי – כמו שנמצא למשל במכשירי הנקסוס והפיקסל – הרווחתם, עדכון האבטחה של ינואר שיצא מוקדם מהצפוי כבר כולל את התיקון ואתם מוגנים. שאר השירותים של גוגל מפורטים כאן.

אז לא רק אינטל?

לא. בניגוד לסברות המוקדמות, ובניגוד להודעת ההכחשה הראשונית של AMD, לא רק מעבדים של אינטל חשופים לפרצת האבטחה. כאמור, על פי חוקרי גוגל שגילו את הבאג, הבעיה כוללת גם מעבדי AMD ו-ARM. למרות זאת, היקף הבעיה קטן משמעותית וככל הנראה גם הטיפול בה יהיה מהיר יותר ויכלול פחות תופעות לוואי.

אז מתקינים עדכון והכל בסדר?

לא ממש.

הבידוד החדש של זיכרון הליבה גורם לחלק מהמערכות לפעול הרבה יותר לאט. על פי חלק מהדיווחים, עדכון האבטחה עלול לגרום לפגיעה של עד 30 אחוזים בביצועים. עם זאת, הכל תלוי במעבדים – ובמעבדים חדשים ומתקדמים יותר הפגיעה תורגש פחות.

בהצהרה שמסרה אמש (ד’) אינטל היא כותבת: “הביצועים יושפעו מעומס העבודה של המעבד, כשהמשתמש הממוצע לא אמור להרגיש שינוי בביצועים – ואלו ייעלמו עם הזמן”.

וככה זה נראה בוידאו

Related Post

יניב אביטל

עורך אתר גיקטיים, ובזמנו החופשי גיק, קופירייטר, אבא, חולה על גאדג'טים וקוד, לא בהכרח בסדר הזה

הגב

19 תגובות על "באג המעבדים הגדול: הנה כל מה שאתם צריכים לדעת על הבאג שישפיע על המחשבים והטלפונים שלכם"

avatar
Photo and Image Files
 
 
 
Audio and Video Files
 
 
 
Other File Types
 
 
 
סידור לפי:   חדש | ישן | הכי מדורגים
אהרון
Guest

שאלת הדיוט:
אפשר להתקין אנדרואיד נקי על טאבלט כלשהו?

כככ
Guest

לא, רק מכשירים יעודיים.

סתם
Guest

זאת שאלה כללית מדי. אפשר בוודאי אבל זה תלוי איזה טאבלט יש לך וכמה שהוא יותר פופולרי כך גדלים הסיכויים שמפתחים התאימו לו אנדרואיד נקי. אז מה שתעשה זה תחפש במכשיר שלך את השם דגם שלו ותריץ חיפוש גוגל על זה למשל =(lineageos for galaxy tab 2 i328f)

אהרון
Guest

תודה. אבל אז המכשיר יחשב כrooted או שאוכל לקבל עדכונים ולדלג על הפרצה הזו?

Dav
Guest

מה המעבדים שנפגעו?

א\"י
Guest

מניין לציבור שהבאג הזה לא מהונדס ומתוכנן מראש, כך שכעבור כמה שנים, הציבור ייאלץ לרכוש מכשירים חדשים. כך כל חברה יכולה לשתול באגים במוצרים שלה, ואחרי כמה שנים, להודיע לציבור שיש באג במוצר שמוכרחים לתקן, והתיקון כמובן מתוכנן (ואולי מראש) כך שייפגע בביצועי המכשיר, כך שהציבור ייאלץ לקנות חדש

נועם
Guest

ואולי חייזרים שתלו את הרעיון כדי לרגל אחרינו..

הארבי
Guest

ההשערה שלך הייתה יכולה להיות נכונה אילולא גם המעבדים החדשים של אינטל היו נפגעים מזה, זה ללא ספק מכה קשה לאינטל שגם ככה לא במצב טוב לאחרונה…

i was ok before
Guest

אני לא חושב שזה חוקי (לכן גם הוגשו תביעות נגד אפל).

ניר
Guest

גילוי באג כזה פוגע קשות במוניטין של החברה.
אם זה יגרום לאנשים מודאגים לרוץ ולקנות מעבדים חדשים,
סביר שיקנו מעבד של חברה מתחרה ללא הבאג הזה.
שום דבר טוב לא יצא לאינטל מהגילוי הזה.

גוגל
Guest

הבאג משפיע גם על AMD ו ARM

גוגלר
Guest

אחד מהם, ולא בטוח כמה הוא קל לניצול

גוגלר
Guest

בטוחים שגם meltdown יכול לרוץ מ js?
ממה שנראה בנתיים אפשר רק לקרוא זיכרון מהדפדפן.

דניאל
Guest

יש לינק להסבק יותר טכני ?

אביעד פריאל
Guest

כן https://www.kernel.org/doc/html/v4.10/admin-guide/security-bugs.html
Security bugs — The Linux Kernel documentation

אביעד פריאל
Guest

ללינוקס יצא עדכון אבטחה ראשון הרבה לפני כולם .. אז חבל שנותנים קרדיט לחברות מסחריות לפני …

לא קונה
Guest

רגע, ומה אם אני לא מוכן לספוג ירידת ביצועים של 30% ולא אכפת לי להיות חשוף לפגם הזה? הרי מי שהרוצה להתקיף אותי יש לו מאות ווקטורים אחרים לעשות את זה אז להשקיע 30% משאבים בכוון אחד נראה לא סביר בעליל. אם הם לא יספקו אפשרות לא לעדכן את התיקון צריך לתבוע אותם ייצוגית.

עילם
Guest

אי אפשר. הם מספקים עדכונים לכל המעבדים. לא מעניין אותם אם אתה לא רוצה. הם גם עושים זאת מסיבה שלא יתבעו אותם על זה שפרצו לך למידע, וגם כי הם מנסים לתקן. אתה תודה להם אחר כך כשלא יפרצו לך

מנחם המשועמם
Guest

מסכים. אינטל חברה חזירית מכרו את המניות שלה לפני ומתנערת מהאחריות ואת התיקון זה יהיה רק *לחלק* מהמעבדים

wpDiscuz

תגיות לכתבה: